Platform ekibiniz, CI/CD için uzun süreli kimlik bilgilerini ve Azure kaynaklarına küme içi erişimi kaldırmak istiyor. GitHub Actions, bir istemci sırrı olmadan Bicep şablonlarını Azure'a dağıtmalı ve AKS iş yükleri, hizmet sorumlusu sırlarını depolamadan Key Vault ve Storage'a erişmelidir. Ne yapılandırmalısınız? Her doğru cevap çözümün bir parçasını sunar.

İlk doğru cevap, GitHub Actions için OpenID Connect (OIDC) kullanarak uzun süreli kimlik bilgilerini ortadan kaldırır. Entra ID'de bir uygulama kaydı oluşturulur ve GitHub OIDC sağlayıcısına güvenen bir federasyon kimlik bilgisi eklenir. Bu, GitHub Actions'ın bir istemci sırrı olmadan Azure'da kimlik doğrulaması yapmasını sağlar. İkinci doğru cevap, AKS iş yükleri için Azure AD Workload Identity'yi yapılandırır. Bu, pod'ların Key Vault ve Storage gibi Azure kaynaklarına hizmet sorumlusu sırlarını depolamadan erişmesini sağlar. AKS'de Workload Identity etkinleştirilir, Kubernetes hizmet hesabı Entra ID uygulamasına eşlenir ve pod'lar Azure Identity SDK'sını kullanır. GitHub PAT kullanmak uzun süreli bir kimlik bilgisidir ve güvenlik riskleri taşır. Eski AAD Pod Identity eklentisi, yeni kümeler için önerilen yaklaşım değildir; Workload Identity daha modern ve güvenlidir. Sertifikalı hizmet sorumluları oluşturmak ve PFX'i Kubernetes sırlarına bağlamak, sırları yönetme yükünü artırır ve Workload Identity'nin sunduğu sır içermeyen yaklaşımı sağlamaz.